En un coup d'œil
- Aikido a remplacé trois outils de sécurité du code, dont « SonarQube Developer »
- L'intégration de nouveaux projets prend cinq minutes au lieu d'environ deux heures
- Chaque dépendance vulnérable apparaît comme un seul problème avec sa chaîne de dépendances complète, au lieu d'une alerte par CVE
- Aikido a été le premier service à signaler une nouvelle CVE GitLab touchant l'équipe, devançant son propre outil de gestion des vulnérabilités
Une base de code en pleine croissance était devenue trop importante pour trois outils séparés
Engel & Völkers, la société immobilière hambourgeoise, utilise Aikido pour sécuriser un code source d'environ deux millions de lignes à partir d'une seule plateforme, après avoir remplacé SonarQube Developer et deux autres outils.
Elizaveta Katiushina, ingénieure en sécurité, est responsable de la pile de sécurité web, gère les outils de sécurité du code de l'entreprise et accompagne les développeurs à chaque étape de leur utilisation. Thorben Wagner, chef d'équipe Sécurité de l'information et RSSI, s'occupe des aspects organisationnels. Engel & Völkers est un courtier immobilier résidentiel et commercial depuis 1977 ; aujourd'hui, plus de 16 700 personnes travaillent sous cette enseigne dans environ 1 000 agences réparties dans 35 pays.
Pendant environ trois ans, l'équipe a utilisé SonarQube Developer pour SAST. Les vérifications des dépendances et des secrets passaient par deux autres outils, ce qui faisait que les résultats étaient dispersés sur trois endroits différents. Chaque nouveau projet impliquait également un travail manuel : Elizaveta créait un jeton pour le chef d'équipe du dépôt, puis vérifiait que l'intégration fonctionnait correctement.
Le modèle de licence posait un problème de planification. SonarQube tarifait sa licence développeur en fonction des lignes de code, et la base de code grandissant avec le produit, l'équipe ne pouvait pas anticiper le coût de la sécurité à un an. Les modules complémentaires, même open-source, entraînaient des frais supplémentaires dès que l'équipe dépassait les limites de l'offre professionnelle.
"Avec cette configuration, nous n'avons jamais pu estimer clairement le budget", explique Thorben.
Un seul endroit pour chaque résultat
Aikido gère désormais le SAST, le SCA et la détection de secrets pour l'équipe. Pour Elizaveta, la différence s'est immédiatement fait ressentir sur sa charge de travail :
"Sur SonarQube, intégrer un nouveau projet me prenait environ deux heures. Avec Aikido, cela prend cinq minutes."
L'analyse des dépendances est le domaine où Aikido se démarque pour elle. L'outil affiche l'ensemble de la chaîne de dépendances, permettant ainsi aux développeurs de voir si un paquet vulnérable est réellement utilisé. Il regroupe également les CVE associées en un seul problème au lieu d'ouvrir un ticket pour chacune.
"Je suis convaincue qu'Aikido est plus performant pour l'analyse des dépendances. Une seule dépendance peut comporter trois CVE. Avec SonarQube, cela signifiait trois problèmes, ce qui inondait notre flux. Avec Aikido, il n'y a qu'un seul problème : cette dépendance est vulnérable, voici les CVE associées, corrigez-la."
Pendant le déploiement, Elizaveta s'est appuyée sur le chat de support d'Aikido.
"J'ai écrit un message et j'ai obtenu une réponse en cinq minutes. Je ne m'y attendais pas."
Pourquoi Engel & Völkers a choisi Aikido
- Une couverture et un impact qui ont surpassé SonarQube Cloud Enterprise, Snyk et GitLab Ultimate lors du processus d'achat de l'équipe
- Une transition plus simple que la migration de leur instance Developer d'SonarQube , hébergée en interne, vers le cloud
- Une tarification basée sur le nombre d'utilisateurs, que l'équipe peut anticiper à mesure que la base de code s'agrandit, pour un coût nettement inférieur à celui de la concurrence
"Aikido nous a offert l'équilibre entre couverture et impact que nous recherchions. C'est l'ensemble de la solution, capacités techniques incluses, qui nous a poussés à changer", explique Thorben.
Aikido a signalé une CVE de GitLab avant tout le monde
Peu de temps avant cet entretien, une nouvelle CVE a touché GitLab. Aikido a été le premier service à avertir l'équipe que leur environnement GitLab était affecté.
"Aikido n'est même pas censé nous informer de ce genre de problème. Son rôle est de gérer les problèmes dans notre code. Pourtant, cela a été le premier service à le signaler. Il a été plus rapide que notre outil de gestion des vulnérabilités, qui est pourtant spécialisé dans notre environnement", déclare Elizaveta.
Comment Engel & Völkers utilise Aikido aujourd'hui
Engel & Völkers n'évolue pas sur un marché hautement réglementé, et l'équipe investit dans la sécurité pour renforcer sa propre posture et l'intégrer dans le processus de conception, et non par obligation.
"Nous ne sommes pas tenus de le faire, mais nous le voulons, et nous le pouvons grâce à Aikido."
- SAST et SCA sur l'ensemble de la base de code, ainsi que la détection de secrets
- Intégrations Slack et Jira pour les alertes et les tickets
- Un pentest IA en boîte blanche d'un produit
- Un ensemble de KPI de sécurité prévus pour la fin de l'année, Aikido fournissant les données pour les rapports destinés au conseil d'administration et aux équipes internes
Verdict final
"Nous avons examiné tous les outils que nous utilisons, et Aikido fait partie de ceux que nous considérons comme étant à la pointe de la technologie."
Thorben Wagner, responsable d'équipe Sécurité de l'information et CISO
"D'un point de vue technique, je n'ai qu'un seul mot : rapide"
Elizaveta Katiushina, ingénieure en sécurité
